Datenschutzerklärung

Beim Einrichten eines Kontos durch die Organisation oder beim Annehmen einer Einladung speichern wir E-Mail-Adresse, Name, Rolle in der Organisation und ein Passwort in gehashter Form. Die Anmeldung erfolgt per Passwort oder per Magic Link (Anmeldelink per E-Mail). Zur Sicherung der Sitzung werden ein Sitzungs-Token auf dem Gerät und Anmeldezeitpunkte gespeichert. Richten Sie in der Web-Anwendung eine Authenticator-App ein, speichern wir den dazugehörigen geheimen Schlüssel, eine Bezeichnung und den Einrichtungszeitpunkt. Sie wird derzeit nur zur Bestätigung der Löschung einer Organisation abgefragt (Abschnitt 4.9); die Anmeldung selbst ist einstufig.

Stempz verarbeitet Stempelungen (Kommen, Gehen, Pausen), daraus berechnete Tages- und Monatszusammenfassungen, Über- und Minusstunden, Anträge (Urlaub, Krankmeldung, Zeitkorrektur, sonstige Abwesenheiten) mit Zeitraum und Begründung, Genehmigungsentscheidungen sowie ein Änderungsprotokoll (Audit-Log), das festhält, wer wann welche Buchung geändert oder genehmigt hat. Bei Krankmeldungen wird kein Diagnosetext erfasst. Zeitkorrekturen ersetzen nie Originalbuchungen, sondern werden zusätzlich protokolliert. Inhaber, Admins und Personalabteilung Ihrer Organisation sehen daraus berechnete Statistiken, etwa Hinweise auf Arbeitszeitregeln wie die Kernzeit, Überstunden-Verläufe oder Anwesenheit nach Uhrzeit, auch je Person. Krankheitswerte wie Krankheitsquote, Krankheitstage oder Krankmeldungen erscheinen dort nie je Person, nur als Summe für ausreichend große Gruppen.

Hat Ihre Organisation die Standorterfassung eingerichtet und haben Sie eingewilligt, erfasst die App ausschließlich im Moment des Ein-, Aus- oder Umstempelns die Koordinaten Ihres Geräts (auf etwa einen Meter gerundet, mit Angabe der Genauigkeit) und speichert sie mit der Buchung in Ihrer Organisation. Eine Ortung im Hintergrund findet nicht statt. Admins und Personalabteilung Ihrer Organisation sehen die Koordinaten in der Web-Anwendung und können sie über einen Link in Google Maps öffnen; erst dieser Klick übermittelt die Koordinate an Google (Google Ireland Limited). Stempz selbst gibt Standortdaten nicht an Dritte weiter.

Beim Abschluss des Arbeitstags wählen Sie Ihre Baustellen aus Adressvorschlägen aus. Ebenso schlägt die Web-Anwendung Inhabern und Admins beim Anlegen oder Bearbeiten eines Firmenstandorts Adressen vor und ermittelt daraus Breiten- und Längengrad des Standorts. Dafür sendet unser Server jeweils nur den eingegebenen Suchtext – nie die Position einer Person und keine Kontodaten – an den Geokodierungsdienst Geoapify (Geoapify GmbH, Deutschland).

Die Einwilligung ist freiwillig und für die Zukunft widerrufbar, indem Sie der App den Standortzugriff in den Geräteeinstellungen entziehen; ohne sie stempeln Sie ohne gespeicherten Standort. Verlangt Ihre Organisation den Standort zum Einstempeln (Standortpflicht), wird die Position ohne Ihre Einwilligung nur geprüft und nicht gespeichert.

Erinnerungen der Apps, etwa die Feierabend-Erinnerung, plant das Gerät selbst; unsere Server senden keine Push-Mitteilungen an die Apps. Für die Live-Aktivität (Stempelstatus auf dem Sperrbildschirm) speichert die iOS-App ein von Apple vergebenes, gerätespezifisches Token bei uns. Im Browser stellen wir die Sollzeit-Erinnerung über den Web-Push-Dienst Ihres Browserherstellers zu; übermittelt wird nur der verschlüsselte Mitteilungstext, keine Standort- oder Gesundheitsdaten. Sie können Mitteilungen jederzeit in den Einstellungen der App, des Browsers oder des Geräts abschalten.

Die iOS-App lädt Aktualisierungen ihres Programmcodes über Expo Application Services (Expo, 650 Industries Inc., USA). Dabei werden App-Version, Plattform und eine zufällige Installationskennung übermittelt, keine Kontodaten. Expo setzt hierfür Standardvertragsklauseln der EU-Kommission ein. Die Android-App nutzt diesen Dienst nicht; sie wird nur über Google Play aktualisiert.

Bestätigungslinks der Registrierung, Einladungen, Anmeldelinks, Benachrichtigungen über Antragsentscheidungen sowie Sicherheitscodes und Hinweise zur Löschung einer Organisation versenden wir über den Dienst Resend (Resend Inc., USA). Übermittelt werden Empfängeradresse und Nachrichteninhalt. Resend setzt Standardvertragsklauseln der EU-Kommission ein.

Die Abrechnung der Lizenzen erfolgt über Stripe (Stripe Payments Europe Ltd., Irland), das die Zahlungen als eigener Verantwortlicher abwickelt. Zahlungsdaten werden direkt bei Stripe erfasst und von uns nicht gespeichert; wir erhalten Rechnungs- und Zahlungsstatusdaten. Beschäftigte sind davon nicht betroffen.

Alle Konto-, Arbeitszeit- und Antragsdaten werden bei Supabase (Supabase Inc.) in der Region Frankfurt am Main (AWS eu-central-1) gespeichert und verarbeitet. Die Datenbank trennt Organisationen strikt voneinander (Row-Level-Security); Übertragungen erfolgen verschlüsselt (TLS).

Inhaber können ihre Organisation in der Web-Anwendung vollständig löschen (Nutzungsbedingungen, Ziffer 8). Dazu bestätigen sie sich mit einer Authenticator-App und einem 6-stelligen Code, den wir an ihre E-Mail-Adresse senden; in der Datenbank speichern wir nur einen Hashwert dieses Codes. Nach der Bestätigung ist die Organisation sieben Tage gesperrt und wird danach mit allen Daten gelöscht, ebenso Nutzerkonten, die keiner anderen Organisation angehören.

Über jede bestätigte Löschung führen wir ein Löschprotokoll mit folgenden Angaben: Name und Kennung der Organisation, Kennung, Name und E-Mail-Adresse des handelnden Inhabers, Zeitpunkte der einzelnen Bestätigungsschritte, IP-Adresse, Browserkennung (User-Agent), die bestätigten Hinweise im Wortlaut, die Anzahl der betroffenen Mitglieder, Zeitbuchungen und Anträge sowie gegebenenfalls Abbruch und Ergebnis der Ausführung. Das Protokoll weist nach, dass die Löschung von einer berechtigten Person veranlasst und bestätigt wurde, und dient der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen.

Für das Löschprotokoll sind wir selbst Verantwortlicher. Rechtsgrundlage ist unser berechtigtes Interesse an diesem Nachweis (Art. 6 Abs. 1 lit. f DSGVO); es bleibt auch nach Löschung der Organisation bestehen (Art. 17 Abs. 3 lit. e DSGVO). Zugriff haben nur wir, nicht die Organisation oder ihre Mitglieder. Die Einträge werden drei Jahre nach Ende des Jahres gelöscht, in dem die Löschung ausgeführt oder abgebrochen wurde (regelmäßige Verjährungsfrist, §§ 195, 199 BGB). Abgebrochene oder nicht abgeschlossene Löschvorgänge ohne Protokolleintrag entfernen wir nach 30 Tagen.

Angemeldete Inhaber, Administratoren und Personalverantwortliche können in der Web-Anwendung einen Hilfe-Assistenten zur Bedienung von Stempz nutzen. Dafür übermitteln wir die eingegebenen Fragen, den bisherigen Chatverlauf, Ihre Rolle in der Organisation und die Adresse der gerade geöffneten Seite an OpenAI (OpenAI Ireland Ltd., Irland; Verarbeitung durch OpenAI, L.L.C., USA) und erzeugen dort die Antwort. Die Seitenadresse kann interne Kennungen enthalten, aber keine Namen; weitere Konto-, Organisations- oder Arbeitszeitdaten werden nicht mitgesendet. Bitte geben Sie keine personenbezogenen Daten ein.

OpenAI verwendet die Daten nicht zum Training seiner Modelle und speichert sie höchstens 30 Tage zur Erkennung von Missbrauch. Wir selbst speichern den Chatverlauf nicht; er liegt nur im Speicher Ihres Browser-Tabs und wird beim Schließen des Tabs gelöscht. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission.